Just a rumour of a bug is enough to find a security exploit these days
TL;DR · AI 摘要
现代代码分析代理能迅速发现并利用安全漏洞，迫使开源项目重新评估安全披露流程。
核心要点
- 补丁发布后10分钟内即出现针对OCaml漏洞的探测，显示自动化工具的高效。
- rclone项目近一个月收到40+安全披露，远超前十年总和，处理时间延长。
- CVE分配时间从2-3天延长至3-4周，影响漏洞修复效率。
结构提纲
按章节快速跳转。
思维导图
用一张图看清主题之间的关系。
查看大纲文本（无障碍 / 无 JS 友好）
- AI时代安全漏洞发现加速
- 自动化监控
- 实时漏洞探测
- 案例分析
- OCaml 10分钟探测
- rclone披露激增
- 流程挑战
- CVE分配延迟
- 应急响应压力
金句 / Highlights
值得收藏与分享的关键句。
Within about ten minutes (!) this website was fielding probes...
In the first 10 years... over 40 in the last month!
CVE assignments now take 3-4 weeks... CVE-PENDING in changelogs.
如今，只需一个关于漏洞的传闻就足以发现安全漏洞
Simon Willison 的博客
订阅
#smallhead
由以下公司赞助：
Greptile —— 运行你代码的AI代码审查工具。捕捉仅在运行时才会出现的漏洞。
免费试用
2026年8月28日 - 链接博客
如今，只需一个关于漏洞的传闻就足以发现安全漏洞（via） Anil Madhavapeddy 是剑桥大学计算机科学教授，也是 OCaml 编译器的核心维护者。在这篇令人警觉的帖子中，他报告称 OCaml 项目中的安全问题在补丁公开讨论后几分钟内就出现了攻击尝试的证据：
通常需要几天时间，一周或两周内发布修复版本是合理的。但大约在十分钟后（！），该网站就开始收到针对百分比编码遍历序列的探测请求，这表明自动化监控工具正在密切关注公共代码仓库。
现代代码分析工具在发现缺陷方面已经变得如此高效，以至于对新漏洞的最轻微暗示就足以让它们找到问题。Anil 通过自己的工具验证了这一点，当 Claude Fable 拒绝执行任务时，他改用 DeepSeek V4 Pro 进行演示。
Anil 指出，这种发现速度似乎与现有开源漏洞保密机制不兼容。如果漏洞可以如此迅速地被利用，我们需要为社区安全制定新的流程。
rclone 维护者 Nick Craig-Wood 在 Hacker News 评论中证实了他的项目也面临同样的问题：
在 rclone 项目最初的十年中，我们通过 GitHub 收到了大约 20 个安全披露。但仅在上个月就处理了超过 40 个！这耗费了我大量的时间，即使使用 AI 工具进行分类和提出修复方案供审核。这些安全披露的命中率相当高——大约 75% 的披露中都包含需要关注的问题。[...] GitHub 会为这些公告分配 CVE 编号。在 AI 风暴来临前，分配需要 2-3 天，但现在需要 3-4 周，所以我不得不在更新日志中使用 CVE-PENDING 标记发布补丁版本，这显然不是理想的解决方案。
发布于
2026年8月28日
晚上10:12
最新文章
- 概念完整性与代码行数统计 - 2026年8月19日
- Qwen 3.8 27B 表现优异，但默认会过度思考 - 2026年8月16日
- 现在我们有了 OpenAI 误操作攻击 Hugging Face 的时间线 - 2026年8月7日
#primary
这是 Simon Willison 于 2026年8月28日 发布的链接文章。
open-source
316
security
628
ai
2,206
generative-ai
1,955
llms
1,922
coding-agents
242
ocaml
5
ai-security-research
38
月度简报
每月赞助10美元，获取本月最重要的LLM发展的精选电子邮件摘要。
支付我以减少推送！
赞助并订阅
.metabox
#secondary
#wrapper
- 披露信息
- 制作信息
- ©
- 2002
- 2003
- 2004
- 2005
- 2006
- 2007
- 2008
- 2009
- 2010
- 2011
- 2012
- 2013
- 2014
- 2015
- 2016
- 2017
- 2018
- 2019
- 2020
- 2021
- 2022
- 2023
- 2024
- 2025
- 2026